Jaké jsou nejčastější chyby firem při ochraně před phishingem?

Pozitivní trend, ale s vážnými mezerami

V posledních letech sledujeme pozitivní trend v oblasti vzdělávání zaměstnanců v kybernetické bezpečnosti. Firmy stále častěji zavádějí různé formy školení, tréninků a awareness aktivit, jejichž cílem je zvýšit povědomí zaměstnanců o bezpečnostních rizicích.

Firmy i jejich zaměstnanci si stále více uvědomují, že kybernetická bezpečnost hraje klíčovou roli nejen v pracovním, ale i v osobním životě.

Z našich zkušeností však vyplývá, že zejména u malých a středních firem bývá často problém v nevhodně zvolené formě nebo obsahu školení. Výsledkem pak bývá spíše falešný pocit bezpečí, zatímco skutečný přínos je minimální, nebo žádný.

Falešný pocit bezpečí: školení bez testování nefunguje

Mnoho firem dnes má nějakou formu bezpečnostního školení,  například e-learning, krátké prezentace nebo povinné roční školení. V praxi ale často vidíme, že tyto znalosti nikdo neověřuje v reálných situacích.

Teprve při simulované phishingové kampani firmy často s překvapením zjišťují, že i přes pravidelná školení značná část zaměstnanců bez váhání zadá své heslo do formuláře z phishingového e-mailu. Někdy se ukáže, že jediní, kdo tak neučinili, byli ti, kteří byli zrovna na dovolené nebo na nemocenské.

AI revoluce ve phishingu

Dalším problémem je, že mnoho firem, které ještě donedávna měly poměrně vysokou úroveň bezpečnostního povědomí, nestihlo včas reagovat na nové hrozby spojené s AI.

S nástupem umělé inteligence jsou například phishingové telefonáty mnohem přesvědčivější, což jsme si mohli ověřit při testovacích scénářích u několika klientů.

V praxi se dnes phishing často provádí multikanálově,  kombinují se e-maily, smishing (SMS) a vishing (telefonní hovory). Takový propojený přístup může zvýšit úspěšnost simulované phishingové kampaně o desítky procent.

Systematický přístup jako základ ochrany

Shrnuto: chybám se nikdy nedá zcela vyhnout. Klíčové je ale přistupovat k ochraně systematicky.

Nestačí zaměstnance jen školit. Je nutné je pravidelně testovat, měřit účinnost školení a přizpůsobovat bezpečnostní opatření aktuálním hrozbám.

Jedině tak může být ochrana před phishingem skutečně efektivní a ne jen formální povinností.